IT & Information security Journal
日本企業がとるべきサイバーレジリエンス法の対応実務 第4回
EUのサイバーレジリエンス法（Cyber Resilience Act、以下「CRA」といいます）のうち、製造業者が脆弱性または重大なインシデントを認識した場合の当局への報告義務に関しては、2026年9月11日から適用が開始されます 1。
報告義務の概要については、本連載の第2回「サイバーレジリエンス法における報告義務の内容と具体策」で解説しましたが、同記事の公開後、欧州委員会より、新たにCRAに関するガイダンス 2 およびFAQ 3 が公開されたことに加え、ENISA 4 より報告義務に関連するFAQ 5 が公開されています。
そこで本稿では、これらの内容を踏まえ、製造業者が「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合に負う報告義務と、より具体的な実務対応について詳説します 6。
なお、CRAに関連するドキュメントは、今後、新たに公開されたり、アップデートされたりすることが予定されています。そのため、今後、本稿で引用すべきドキュメントの公表や、アップデート等があった場合には、順次記事内容に反映します。
寺門 峻佑
TMI総合法律事務所 弁護士
野間 啓佑
TMI総合法律事務所 弁護士
滝川 航生
TMI総合法律事務所 弁護士
木戸 脩平
TMI総合法律事務所 弁護士
箱田 雄太
TMI総合法律事務所 弁護士
この記事のポイント
CRA上、製造業者は、対象製品に関して「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合、CSIRTおよびENISAに対し、①早期警告通知、②脆弱性通知／インシデント通知、③最終報告の3段階の報告を行う必要がある
報告義務の起算点となる「認識」は、疑わしい事象を把握した時点ではなく、初期評価の結果、実際に悪用されている脆弱性、または対象製品のセキュリティに影響を及ぼす重大なインシデントについて合理的な程度の確信を得た時点とされている。そのため、報告要否の初期判断を迅速に行うことが重要となる
報告義務に実務上対応するためには、CRAが適用される製品の棚卸し、SRP利用に向けたEU Loginアカウントの事前作成、報告先となるCSIRTの特定、適用開始前に認識済みの脆弱性の棚卸し、報告に必要な情報収集体制や「認識」の判断プロセスを含むインシデント対応マニュアルのアップデートを進めておくことが望ましい
製造業者が「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合、製造業者はCRAにもとづき、各EU加盟国によりコーディネーターとして指定されたCSIRT 7 とENISAに対し、それぞれ以下の3段階の報告を行う必要があります 8。
実際に悪用されている脆弱性 |
重大なインシデント |
|
|---|---|---|
①早期警告通知 |
認識から 24 時間以内 |
認識から 24 時間以内 |
②脆弱性通知／インシデント通知 |
認識から 72 時間以内 |
認識から 72 時間以内 |
③最終報告 |
是正措置または緩和措置が利用可能となってから14日以内 |
②の提出から1か月以内 |
また、必要がある場合には、最初に通知・報告を受領したCSIRTにより、製造業者は関連する状況の更新についての中間報告の提出を求められる場合があります 9。
なお、製造業者が「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合の報告義務に違反した場合、最高1,500万ユーロまたは前会計年度の全世界の年間総売上高の2.5％のいずれか高い方の金額を上限とする行政罰の対象になります 10。
製造業者は、対象製品に「実際に悪用されている脆弱性（actively exploited vulnerability）」があることを「認識」した場合、各EU加盟国によりコーディネーターとして指定されたCSIRTとENISAに対し、以下の3段階の報告を行う必要があります 11。
なお、これらの報告に加え、必要に応じてCSIRTから中間報告を求められる場合があります 12。
「実際に悪用されている脆弱性」とは、脆弱性のうち、悪意のある者がシステムオーナーの許可なく、システム上で当該脆弱性を悪用したことについて信頼できる証拠があるものをいいます 13。
たとえば、自社製品に脆弱性が存在することが判明し、ログ、テレメトリ 14 その他の内部監視データから当該脆弱性を用いた不正アクセスの痕跡が確認され、これが信頼できる場合には、当該脆弱性は「実際に悪用されている脆弱性」に該当します 15。
なお、パッチやセキュリティアップデートがまだ利用可能となっていない脆弱性（いわゆる「ゼロデイ脆弱性」）も、それが「実際に悪用されている」限り、報告義務の対象となります 16。
上述のとおり、①および②の報告義務については、「認識」を起算点とした厳しい期限設定がなされています。「認識」の時点について、CRAに関するガイダンス（以下「ガイダンス」といいます）は以下のとおり述べています。
213. In some cases, a manufacturer will detect a suspicious event, or a third party, such as an individual, a customer, an entity, an authority, a media organisation or other source will bring a potential incident or vulnerability to its attention. In such cases, the manufacturer should assess the suspicious event immediately to determine whether it constitutes an actively exploited vulnerability or a severe incident having an impact on the security of the product with digital elements. The manufacturer is therefore to be regarded as having become aware when, after such an initial assessment, it has a reasonable degree of certainty that: (i) a vulnerability contained in its product with digital elements is being actively exploited; or (ii) a severe incident has occurred and has led to the security of its product with digital elements being compromised.
（和訳）
場合によっては、製造業者が疑わしい事象を検知することもあれば、個人、顧客、事業体、当局、報道機関その他の情報源等の第三者が、インシデントまたは脆弱性の可能性について製造業者に知らせることもある。このような場合、製造業者は、当該疑わしい事象が、実際に悪用されている脆弱性または対象製品のセキュリティに影響を及ぼす重大なインシデントに該当するかどうかを判断するため、ただちに当該疑わしい事象を評価すべきである。したがって、製造業者は、かかる初期評価の後、(i)自社の対象製品に含まれる脆弱性が実際に悪用されていること、または(ii)重大なインシデントが発生し、それにより自社の対象製品のセキュリティが侵害されたことについて、合理的な程度の確信を得た時点で、認識したものとみなされる。
214. Therefore, the point in time at which a manufacturer can be considered to be aware will depend on the circumstances of the specific actively exploited vulnerability or severe incident. In some cases, it will be relatively clear from the outset that a vulnerability is being actively exploited or that a severe incident is impacting the security of a product with digital elements. In others, it may take some time to establish whether a product with digital elements is affected by a vulnerability and whether that vulnerability is being exploited by a malicious actor, or whether an incident is impacting the security of a product with digital elements. However, the emphasis should be on prompt action to carry out the initial assessment to determine whether such conditions are indeed met, particularly where the vulnerability may pose a significant risk, and if so, to take remedial action and notify in accordance with the CRA.
（和訳）
したがって、製造業者が認識したものとみなされ得る時点は、個別の実際に悪用されている脆弱性または対象製品のセキュリティに影響を及ぼす重大なインシデントの具体的な状況によって異なる。場合によっては、脆弱性が実際に悪用されていること、または重大なインシデントが対象製品のセキュリティに影響を及ぼしていることが、当初から比較的明らかであることもある。他方で、対象製品が脆弱性の影響を受けているかどうか、および当該脆弱性が悪意のある者によって悪用されているかどうか、またはインシデントが対象製品のセキュリティに影響を及ぼしているかどうかを確認するまでに、一定の時間を要することもある。しかしながら、特に当該脆弱性が重大なリスクをもたらし得る場合には、かかる条件が実際に満たされているかどうかを判断するための初期評価を迅速に実施すること、また、満たされている場合には、CRAに従って是正措置を講じ、通知を行うことに重点が置かれるべきである。
たとえば、製造業者が第三者からその製品の脆弱性が悪用されている旨の報告を受けた場合であっても、その報告により当該脆弱性が実際に悪用されていることが明らかとまではいえないときは、その時点では必ずしも製造業者が報告義務の対象となる事案を「認識」したとはみなされません。すなわち、報告を受けた製造業者はまず、当該脆弱性が存在し、かつ、実際に悪用されているか否かを判断するために、ただちに初期評価を行う必要があります。その結果、当該脆弱性が「実際に悪用されている脆弱性」に該当するとの合理的な程度の確信を得た場合、その時点で「認識」したとみなされます。
また、CRAに関するFAQ（以下「FAQ」といいます）には、製造業者が自己の製品の脆弱性を認識する経路として、以下のものが例示されています 17。
製造業者が、その顧客や提携先から、自己の製品に実際に悪用されている脆弱性が存在することについて信頼できる証拠を示された場合
サイバーセキュリティ企業、政府機関、倫理的ハッカー等が、自己の製品の脆弱性が悪用されている旨を公表・報告した場合
製造業者自身による内部モニタリングや自己のテレメトリシステム等により、自己の製品に存在する未知の脆弱性が悪用されていることが発見された場合
製造業者のセキュリティチームがダークウェブ上のフォーラムを監視し、ハッカーが自己の製品の脆弱性の悪用に成功したことを示す証拠を発見した場合
なお、報告義務の適用開始日である2026年9月11日より前に製造業者が「認識」した「実際に悪用されている脆弱性」については、報告義務は及びません 18。他方で、同日より前に脆弱性自体を認識していたとしても、その時点では実際に悪用されていることを認識していなかった場合には、同日以後に実際の悪用が発生し、または製造業者がそのことを認識した時点で、当該脆弱性は報告義務の対象となることに留意が必要です 19。
製造業者は、自社の製品に組み込んだ第三者製のコンポーネントに由来する脆弱性であっても、それが自社の製品に含まれ、かつ当該製品において実際に悪用されていることを認識した場合には、報告義務を負います。
他方で、第三者製コンポーネントに脆弱性があることを認識していても、たとえば脆弱なコードに到達できないなど、当該製品においてその脆弱性を悪用できない場合、または当該製品において悪用されていない場合には、「自社の製品に含まれる実際に悪用されている脆弱性」にはあたらず、報告義務は生じません 20。この場合でも、製造業者は、当該脆弱性を任意に報告することができるほか 21、当該コンポーネントを製造または保守する者に脆弱性を報告する必要があります 22。
製造業者は、単一報告プラットフォーム（Single Reporting Platform、以下「SRP」といいます）から、EU加盟国のCSIRTの窓口に対し通知・報告を行う必要があります。どのEU加盟国のCSIRTに報告すべきかについては、後記「報告先となるCSIRTの特定」をご参照ください。なお、SRPは報告義務の適用開始日である2026年9月11日までにウェブ上に設置されることとなっており、それまでにテスト期間も設けられる予定です 23。
この記事では、SRPが公開され次第、その操作方法等についても解説を追記する予定です。
SRP上での①早期警告通知、②脆弱性通知および③最終報告の各段階での入力項目は、下表のとおりです 24。
| 入力項目 | ① | ② | ③ |
|---|---|---|---|
共通事項 |
|||
| 1. 通知の種類（脆弱性／インシデント） | 必須 |
引継 |
引継 |
| 2. 通知段階（24時間／72時間／最終） | 必須 |
必須 |
必須 |
| 3. 報告時刻－24時間 | 自動 |
自動 |
自動 |
| 4. 報告時刻－72時間 | 自動 |
自動 |
自動 |
| 5. 報告時刻－最終 | 自動 |
自動 |
自動 |
| 6. 報告者 | 自動 |
自動 |
自動 |
| 7. 製造業者またはOSSスチュワード 25 の名称 | 必須 |
引継 |
引継 |
| 8. 製品 | 必須 |
引継 |
引継 |
| 9. 製品類型（通常／重要／重大） | 任意 |
引継 |
引継 |
| 10. 製品カテゴリ（製品類型が通常以外の場合－CRA附属書III／IV） | 任意 |
引継 |
引継 |
| 11. 製品が提供されている加盟国 | 必須 |
引継 |
引継 |
| 12. 件名 | 必須 |
引継 |
引継 |
脆弱性に関する事項 |
|||
| v13. CVE ID | 任意 |
引継 |
引継 |
| v14. EUVD ID | 任意 |
引継 |
引継 |
| v15. 一般情報（特に以下の情報を含む） | 任意 |
必須 |
引継 |
| v16 a. 脆弱性の一般的性質 | 任意 |
必須 |
引継 |
| v17 b. 悪用の一般的性質 | 任意 |
必須 |
引継 |
| v18. 実施済みの是正措置または緩和措置 | 任意 |
必須 |
引継 |
| v19. ユーザが実施可能な是正措置または緩和措置 | 任意 |
必須 |
引継 |
| v20. 通知情報の機微性に関する評価 | 任意 |
必須 |
引継 |
| v21. 是正措置または緩和措置が利用可能となった日 | 任意 |
任意 |
必須 |
| v22. 脆弱性の詳細な説明（特に以下の情報を含む） | 任意 |
任意 |
必須 |
| v23 a. 脆弱性の重大性 | 任意 |
任意 |
必須 |
| v24 b. 脆弱性の影響 | 任意 |
任意 |
必須 |
| v25. 脆弱性を悪用した／悪用している者 | 任意 |
任意 |
必須 |
| v26. 利用可能なセキュリティアップデート／是正措置の詳細 | 任意 |
任意 |
必須 |
| 自動 | 自動で入力される項目（提出者には表示されない） |
|---|---|
| 必須 | 入力が必須の項目 |
| 引継 | デフォルトで前段階の情報が引き継がれるが、更新することもできる項目 |
| 任意 | 入力が任意の項目 |
| 必須 （条件付） |
当該情報を入手している場合には入力が必須の項目 |
以上のとおり、「認識」から24時間以内に行う必要のある①早期警告通知において入力が必須となる項目は限定的であり、その後の調査の進展に応じ、後続の②脆弱性通知および③最終報告において、情報を段階的に追加・更新することが予定されています。
製造業者がSRPを通じて管轄のCSIRTに通知・報告を行うと、当該通知・報告の内容は、原則としてENISAに対しても同時に共有されます。その後、当該CSIRTは、製品が提供されている他の加盟国のCSIRTに対し、SRPを通じて当該通知・報告を遅滞なく共有することとなります 26。
もっとも、後述のとおり、脆弱性に関する情報は、その共有によってかえってサイバーセキュリティリスクを増大させる可能性があります。そのため、セキュリティ上の理由がある場合には、例外的に、通知・報告を最初に受領したCSIRTが、他の加盟国のCSIRTへの共有を遅延または留保することが認められています 27。
製造業者は、実際に悪用されている脆弱性を認識した後、影響を受けるユーザ（適切な場合にはすべてのユーザ） に対し、実際に悪用されている脆弱性および、必要に応じて、当該脆弱性の影響を緩和するためにユーザ自身が実施可能な対処方法について通知する必要があります 28。ガイダンスは、通知の対象とすべきユーザの範囲や開示すべき情報の内容について、以下のとおり述べています。
220. In line with the CRA’s risk-based approach, the obligation to inform users laid down in Article 14(8) is to be applied in a risk-based and proportionate manner. In particular, the provision of information about an actively exploited vulnerability or a severe incident does not imply that such information must be made public or disclosed indiscriminately. Where appropriate, and in light of the nature of the product with digital elements, the affected users and the vulnerability or incident’s potential impact, manufacturers may limit the disclosure of detailed information to the relevant users or customers concerned. This is particularly the case for products with digital elements used in sensitive or essential environments, where public disclosure of technical details could itself increase cybersecurity risks or facilitate further exploitation.
（和訳）
CRAのリスクベース・アプローチに従い、14条8項に規定されたユーザへの情報提供義務は、リスクベースかつ比例的な方法 29 で適用されるべきである。特に、実際に悪用されている脆弱性または重大なインシデントに関する情報を提供することは、当該情報を公表し、または無差別に開示しなければならないことを意味するものではない。適切な場合には、対象製品の性質、影響を受けるユーザ、および脆弱性またはインシデントの潜在的な影響に照らして、製造業者は、詳細な情報の開示を、関係する関連ユーザまたは顧客に限定することができる。これは、特に、機微または不可欠な環境で使用される対象製品について当てはまる。このような場合、技術的詳細を公表すること自体が、サイバーセキュリティリスクを高め、またはさらなる悪用を助長し得るためである。
221. Once the vulnerability has been adequately addressed or mitigated, broader disclosure may be appropriate. This would be the case, for example, where disclosure contributes to raising general awareness or enables users to verify that their products with digital elements are no longer affected. In such cases, the level of detail and the timing of any broader disclosure should remain proportionate and take into account the residual risks of exploitation, the nature of the product with digital elements and the interests of the users concerned. Furthermore, point (4) of Part II of Annex I requires manufacturers to publicly disclose information about fixed vulnerabilities once a security update has been made available.
（和訳）
脆弱性が十分に対処され、または緩和された後は、より広範な開示が適切となる場合がある。たとえば、開示が一般的な認識の向上に資する場合、またはユーザが自らの対象製品がもはや影響を受けていないことを確認できるようにする場合がこれに該当する。このような場合、より広範な開示の詳細度および時期は、引き続き比例的なものとし、悪用の残存リスク、対象製品の性質および関係するユーザの利益を考慮に入れるべきである。さらに、別紙I第II部第4項は、製造業者に対し、セキュリティアップデートが利用可能となった後、修正済みの脆弱性に関する情報を公に開示することを求めている。
通知の対象とすべきユーザの範囲および開示すべき情報の内容は、通知により増大するサイバーセキュリティリスクや、通知によりさらなる悪用を助長することとなるリスク等の程度に応じて決定すべきとされています。たとえば、機微性の高い環境で使用される製品については、技術的詳細を公表すること自体がサイバーセキュリティリスクを高め、またはさらなる悪用を助長するおそれがあるため、詳細情報の開示を、影響を受けるユーザまたは顧客に限定することが想定されています。
また、脆弱性への是正措置または緩和措置が十分に行われた後は、より広範な開示が適切となる場合もあることや、セキュリティアップデートが利用可能となった後には、修正済みの脆弱性に関する情報を公開すべきことも指摘されています。
なお、製造業者が適時に上記のユーザに対する通知を行わない場合、報告を受けたCSIRTは、当該脆弱性またはインシデントの影響を防止または緩和するために必要かつ比例的であると判断するときは、当該情報をユーザに提供することができることとなっています 30。
製造業者は、「対象製品のセキュリティに影響を及ぼす重大なインシデント（severe incident having an impact on the security of the product with digital elements）」を認識した場合にも、実際に悪用されている脆弱性を認識した場合と同様に、コーディネーターとして指定されたCSIRTとENISAに対し、以下の3段階の報告を行う必要があります 31。
早期警告通知（認識から24時間以内）
インシデント通知（認識から72時間以内）
最終報告（②の提出から1か月以内）
なお、最終報告の提出期限については、脆弱性の場合は是正措置または緩和措置が利用可能となってから14日以内とされているのに対し、重大なインシデントの場合は②のインシデント通知の提出から1か月以内とされている点で異なりますので、留意が必要です 32。
また、必要がある場合には、最初に通知・報告を受領したCSIRTにより、製造業者は重大なインシデントについて関連する状況の更新についての中間報告の提出を求められる場合があります 33。
CRA上、「対象製品のセキュリティに影響を及ぼすインシデント」とは、データまたは機能の可用性、真正性、完全性または機密性を保護する対象製品の能力に対して悪影響を及ぼす、または悪影響を及ぼし得るインシデントをいい 34、そのうち、以下を満たすものが「重大な」インシデントとして、報告義務の対象となります 35。
具体例としては、製造業者がユーザに対してセキュリティ更新を配信するために用いるリリースチャネルに、攻撃者が悪意のあるコードを埋め込むことに成功した場合があげられます 36。
このように、「重大なインシデント」は、主として、製造業者の開発・生産・保守プロセスがサイバーセキュリティ上の影響を受けることを問題とするのに対し、前述の「実際に悪用されている脆弱性」は、悪意のある者が製品に内在する欠陥（識別・認証機能の弱点等）を利用したことを問題とするものであり、報告義務の対象となる事象の性質には違いがあります 37。
実際に悪用されている脆弱性を認識した場合と同様、①および②の報告義務についても「認識」を起算点とした厳しい期限設定がなされているところ、ガイダンスは、重大なインシデントについても、製造業者が疑わしい事象を把握した場合にはただちに初期評価を行い、その結果、自社製品のセキュリティが侵害されたことについて合理的な程度の確信を得た時点で「認識」したとみなされる旨を示しています 38。
また、ガイダンスは、この「認識」の概念に関する解釈が、GDPRに基づくガイドライン 39 およびNIS2 40 実施規則 41 における解釈と整合する旨を述べています 42。したがって、CRAの適用を受ける企業がGDPRやNIS2の適用も同時に受ける場合、基本的には、同一のインシデントに関する「認識」時点（すなわち報告義務の起算点）は、CRAとGDPR・NIS2の双方で同じ時点になり得ると考えられます。
もっとも、CRA、GDPRおよびNIS2では、それぞれ報告義務の対象となる事象が異なります（たとえば、GDPR上は個人データ侵害が対象です）。そのため、同一の事実関係の下であっても、各制度上の報告対象事象について、実務上は各制度の要件ごとに起算点を確認しておく必要があります。
なお、報告義務の適用開始日である2026年9月11日より前に製造業者が認識した重大なインシデントについては、実際に悪用されている脆弱性を認識した場合と同様、報告義務は及びません 43。
重大なインシデントについても、実際に悪用されている脆弱性を認識した場合と同様、製造業者は、SRPを通じ、EU加盟国のCSIRTの窓口に対し通知・報告を行う必要があります 44。
SRP上での①早期警告通知、②インシデント通知、③最終報告の各段階での入力項目は、下表のとおりです 45。
入力項目 |
① |
② |
③ |
|---|---|---|---|
共通事項 |
|||
1. 通知の種類（脆弱性／インシデント） |
必須 |
引継 |
引継 |
2. 通知段階（24 時間／72 時間／最終） |
必須 |
必須 |
必須 |
3. 報告時刻－24 時間 |
自動 |
自動 |
自動 |
4. 報告時刻－72 時間 |
自動 |
自動 |
自動 |
5. 報告時刻－最終 |
自動 |
自動 |
自動 |
6. 報告者 |
自動 |
自動 |
自動 |
7. 製造業者または OSS スチュワードの名称 |
必須 |
引継 |
引継 |
8. 製品 |
必須 |
引継 |
引継 |
9. 製品類型（通常／重要／重大） |
任意 |
引継 |
引継 |
10. 製品カテゴリ（製品類型が通常以外の場合－CRA 附属書 III/IV） |
任意 |
引継 |
引継 |
11. 製品が提供されている加盟国 |
必須 |
引継 |
引継 |
12. 件名 |
必須 |
引継 |
引継 |
インシデントに関する事項 |
|||
i13. 違法または悪意のある行為による疑いの有無 |
必須 |
引継 |
引継 |
i14. インシデントの性質に関する一般情報 |
任意 |
必須 |
引継 |
i15. インシデントの検出日時 |
任意 |
必須 |
引継 |
i16. インシデントの発生日時 |
任意 |
必須 |
引継 |
i17. インシデントの初期評価 |
任意 |
必須 |
引継 |
i18. 実施済みの是正措置または緩和措置 |
任意 |
必須 |
引継 |
i19. ユーザが実施可能な是正措置または緩和措置 |
任意 |
必須 |
引継 |
i20. 通知情報の機微性に関する評価 |
任意 |
必須 |
引継 |
以下を含むインシデントの詳細な説明 |
任意 |
任意 |
必須 |
i21 a．インシデントの重大性 |
任意 |
任意 |
必須 |
i22 1）デジタル要素を含む製品が、機微もしくは重要なデータまたは機能の可用性、真正性、完全性または機密性を保護する能力に悪影響を及ぼす、または及ぼし得る場合 2）デジタル要素を含む製品またはそのユーザのネットワークおよび情報システムにおいて、悪意のあるコードの導入または実行につながった、またはつながり得る場合 |
|||
i23 b．インシデントの影響 |
任意 |
任意 |
必須 |
i24. インシデントを引き起こした可能性のある脅威または根本原因の類型 |
任意 |
任意 |
必須 |
i25. 適用済みおよび進行中の緩和措置 |
任意 |
任意 |
必須 |
| 自動 | 自動で入力される項目（提出者には表示されない） |
|---|---|
| 必須 | 入力が必須の項目 |
| 引継 | デフォルトで前段階の情報が引き継がれるが、更新することもできる項目 |
| 任意 | 入力が任意の項目 |
| 必須 （条件付） |
当該情報を入手している場合には入力が必須の項目 |
脆弱性の報告事項と比較すると、インシデントの場合は以下のような点が特徴的であり、前述した報告対象事象の性質上の差異に応じて報告すべき内容の観点も異なります。
「インシデント検出日時」と「インシデント発生日時」の2つの時点を区別して報告する必要がある点
①早期警告通知の段階で「違法または悪意のある行為による疑いの有無」が必須項目とされている点
③最終報告において、脆弱性の場合の「脆弱性の重大性・影響」「脆弱性を悪用した／悪用している者」「利用可能なセキュリティアップデート／是正措置の詳細」に代えて、「インシデントの重大性・影響の詳細な説明」「インシデントを引き起こした可能性のある脅威または根本原因の類型」「適用済みおよび進行中の緩和措置」が求められる点
重大なインシデントについても、実際に悪用されている脆弱性を認識した場合と同様、製造業者がSRPを通じて管轄のCSIRTに通知・報告を行うと、当該通知・報告の内容は、原則としてENISAに対しても同時に共有され、その後、当該CSIRTから、製品が提供されている他の加盟国のCSIRTに対し、遅滞なく共有されることとなります 46。
製造業者は、重大なインシデントを認識した後、影響を受けるユーザ（適切な場合にはすべてのユーザ）に対し、当該インシデントおよび、必要に応じて、ユーザが実施可能な是正措置または緩和措置について通知する必要があります 47。この通知義務も、実際に悪用されている脆弱性を認識した場合と同様、CRAのリスクベース・アプローチに沿って、リスクに応じた比例的な方法で履行されなければなりません 48。製造業者が適時にユーザに対する通知を行わない場合に、報告を受けたCSIRTが当該情報をユーザに提供することができる点も、脆弱性の場合と同様です 49。
第2回「サイバーレジリエンス法における報告義務の内容と具体策」では、製造業者の報告義務に対応するため、セキュリティガバナンス体制の構築、インシデント対応マニュアルの作成・周知、GDPR対応とCRA対応の連携、そして業務委託先との間の契約書上の規定の策定を行うべき旨について紹介しました。新たに公開されたガイダンス等を踏まえると、これらに加え、以下のような対応を講ずることが望ましいと考えられます。
前述のとおり、①早期警告通知は、脆弱性または重大なインシデントを認識してから24時間という非常に厳しいタイムラインで実施する必要があります。そのため、脆弱性または重大なインシデントを認識した場合に、CRA上の報告が必要となるか否かを迅速に判断することができるように、あらかじめ各事業者において取り扱う各製品がCRAの適用を受けるか否かについて棚卸しをしておくことが有用です。
なお、CRA上の報告義務は、2027年12月11日よりも前にEU市場に置かれた製品であっても適用されますので 50、棚卸しの際は以下の2点に留意してください 51。
また、報告の際は、報告対象の製品が重要製品（Important Product）・重大製品（Critical Product）・それ以外の製品のいずれに該当するかについても記載する欄があるため 52、どのカテゴリに分類されることとなるかについても、あわせて判断しておくことが必要です。
取り扱う製品にCRAが適用されるか否かや、CRA上のいずれの製品カテゴリに分類されることとなるかについての判断は、第3回「サイバーレジリエンス法における義務の内容と具体策」で解説したCRA上の定義に加え、重要製品および重大製品の技術的説明に関する実施規則（Implementing Regulation (EU) 2025/2392）53 等、当局等から随時示される解釈等も把握したうえで実施する必要があります。そのため、適宜、外部専門家も交えて検討することが望ましいといえます。
ENISAが構築するCRAのSRPは、2026年9月11日の報告義務の適用開始と同時に運用が開始される予定ですが、SRPの利用には、EU Loginアカウントを事前に作成しておく必要があります 54。そのため、製造業者の担当者は、迅速な報告を可能とするため、あらかじめEU Loginアカウントを作成しておくことが推奨されます。なお、SRPについては、2026年9月11日の運用開始前に、ユーザテストおよびセキュリティテストを実施するためのテスト期間が設けられる予定です 55。
製造業者は、SRP上で、主たる事務所を有するEU加盟国のCSIRTの窓口に報告を行いますが、EU域内に主たる事務所を持たない日本企業の場合は、以下の順序に従い、認定代理人、輸入業者、流通業者およびユーザの所在地を考慮して報告先のCSIRTを決定する必要があります 56。
i. 当該製造業者の対象製品を最も多く取り扱っている認定代理人（authorised representative。製造業者からEU適合宣言書の保管や市場監視当局への対応等の業務の委任を受けた者をいいます 57）が所在するEU加盟国
ii. 当該製造業者の対象製品を最も多くEU市場に供給している輸入業者が所在するEU加盟国
iii. 当該製造業者の対象製品を最も多くEU市場に流通させている流通業者が所在するEU加盟国
iv. 当該製造業者の対象製品のユーザが最も多く所在するEU加盟国
前述のとおり、CRA上の当局への報告については厳格なタイムラインが敷かれていることから、あらかじめ報告先となるCSIRTを特定しておくことで、脆弱性・インシデント認識時に滞りなく適切な当局に対して報告を実施できる体制を構築しておく必要があります。
先に触れたとおり、脆弱性を認識した場合の報告義務については、報告義務の適用開始日である2026年9月11日以降に製造業者が認識した脆弱性についてのみ適用され、適用開始前にすでに実際に悪用されていることを認識していた脆弱性については報告義務の対象外とされています 58。
そのため、適用開始日前に自社製品の既知の「実際に悪用されている脆弱性」を網羅的に棚卸しし、文書化しておくことで、適用開始後に新たに認識した脆弱性との区別を明確にし、不要な報告負担を回避するとともに、当局からの問い合わせに対して既知であった旨の証拠を示すことが可能になります。特に、EU市場に投入済みの製品については、優先的に棚卸しを行うことが望ましいです。当該文書は、「実際に悪用されている脆弱性」や「認識」といった文言の法的解釈を踏まえて作成する必要があります。
第2回「サイバーレジリエンス法における報告義務の内容と具体策」では、タイトなスケジュールに沿った対応が可能となるよう、インシデント対応マニュアルの作成・周知をすることが望ましい旨記載しましたが、脆弱性・重大インシデントの各「報告の内容」のパートで説明したとおり、当局に報告すべき情報項目が明らかにされたことを踏まえ、インシデント発生時に、どの部門がどの情報を収集すべきかについて、インシデント対応マニュアルであらかじめ明確にしておくことが望ましいです。
また、前述のとおり、当局への報告義務は、「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」が生じていることについて合理的な確信を得た時点を起算点として、報告期限のカウントが開始されます 59。これらの脆弱性やインシデントに関する情報が流入するチャネルは、実際上多岐にわたるため（たとえば、顧客から営業担当者への連絡、ウェブサイト上に設けた問い合わせ窓口への連絡、情報システム部門における内部監視など）、いつ誰が「合理的な程度の確信」を得たのかが不明確になる可能性があります。そして、それが不明確であると、報告期限の起算点が事実上曖昧になってしまうリスクがあります。
したがって、インシデント対応マニュアルには、適切なエスカレーションルートを定めてそれを周知するとともに、「合理的な程度の確信」を得たと判断する手順ないし過程を、「認識」の解釈を踏まえて盛り込んでおくことが推奨されます。
さらに、製造業者は、自社のデジタル要素を備えた製品に含まれる第三者製コンポーネントに積極的に悪用されている脆弱性が含まれていることを認識した場合も、当該脆弱性について通知する義務を負います。もっとも、第三者製コンポーネントに脆弱性があっても、自社製品内では悪用不能である場合、または自社製品内では悪用されていない場合には、当該製造業者に報告義務は発生しません 60 。
そのため、インシデント対応マニュアルには、自社内のエスカレーションルートのみならず、第三者製コンポーネントの製造業者からの脆弱性に関する報告を受けるための体制、および自社製品における悪用可能性または悪用の有無を確認するプロセスについても盛り込んでおくことが推奨されます。
日本企業がとるべきサイバーレジリエンス法の対応実務
バックナンバー（全4件）
第4回
サイバーレジリエンス法における製造業者の報告義務への対応（実践編） 「認識」の基準、報告項目、対応実務 など第3回
サイバーレジリエンス法における義務の内容と具体策第2回
サイバーレジリエンス法における報告義務の内容と具体策第1回
サイバーレジリエンス法の概要と具体策（対象製品、罰則、義務、スケジュール等）
寺門 峻佑
TMI総合法律事務所 弁護士
日本国・ニューヨーク州弁護士、TMIプライバシー&セキュリティコンサルティング株式会社取締役、情報処理安全確保支援士（第011789号）、情報セキュリティ監査人補。内閣サイバーセキュリティセンタータスクフォース、経済産業省大臣官房臨時専門アドバイザー、防衛省陸上自衛隊通信学校非常勤講師、滋賀大学データサイエンス学部インダストリアルアドバイザー等を歴任。国内および海外のデータ利活用における個人情報保護法対応・情報漏えいインシデント対応を中心としたデータ・プライバシー領域、eコマース・プラットフォーム/アプリ/AI開発・ライセンスを中心としたIT法務、IT関連を中心とした不正調査・国内外紛争案件を主に取り扱う。米国Wikimedia Foundation, Inc.法務部、エストニアのLaw Firm SORAINENでの勤務経験も有する。
野間 啓佑
TMI総合法律事務所 弁護士
2018年東京大学法科大学院修了。2019年弁護士登録、2020年TMI総合法律事務所入所。国内外データ保護関連法対応のほか、IT関連契約対応、国内/グローバル内部通報制度の構築・運用案件、国内外の紛争対応その他一般企業法務を幅広く扱う。
滝川 航生
TMI総合法律事務所 弁護士
2022年東京大学法学部卒業。2023年弁護士登録、2024年TMI総合法律事務所入所。情報処理安全確保支援士（第026420号）。国内外データ保護法関連対応のほか、一般企業法務を取扱う。
木戸 脩平
TMI総合法律事務所 弁護士
2024年慶應義塾大学法科大学院修了。2025年弁護士登録、同年TMI総合法律事務所入所。国内外データ保護法関連対応のほか、一般企業法務を取扱う。
箱田 雄太
TMI総合法律事務所 弁護士
2019年京都大学経済学部卒業。株式会社ディー・エヌ・エーにてデータ分析業務等に従事。2025年京都大学法科大学院修了。2026年弁護士登録、TMI総合法律事務所入所。一般企業法務を取扱う。
UNITISは、IT・セキュリティ担当者へ、実務家・専門家による解説や他社事例等を伝えるメディアです。セキュリティ・法律の専門家による実務解説や分析、第一線の実務家による事例・ノウハウをお届けします。
この記事をシェアする
最新情報をフォローする
